Asset-Register

Das Asset-Register dokumentiert sämtliche Informationswerte deiner Organisation — von Servern und Anwendungen über Datenbanken bis hin zu Geschäftsprozessen und Standorten. Ohne dieses Inventar fehlt die Grundlage für jede Risikoanalyse, denn du kannst nur schützen, was du kennst.

ISO 27001 fordert in Control A.5.9 ein aktuelles Inventar aller Informationswerte mit eindeutiger Zuordnung zu verantwortlichen Personen. BSI IT-Grundschutz verlangt eine vergleichbare Strukturanalyse als ersten Schritt der Schutzbedarfsfeststellung.

Was enthält die Vorlage?

Die CSV-Vorlage bildet ein Asset-Inventar ab, das auditfest und gleichzeitig handhabbar ist. Die wichtigsten Spalten:

• Asset-ID und Name — eindeutige Kennung und sprechende Bezeichnung
• Kategorie — Hardware, Software, Daten, Prozess, Personal, Standort
• Verantwortliche Person — namentlich benannt, mit Rolle und Organisationseinheit
• Klassifizierung — Vertraulichkeit, Integrität und Verfügbarkeit auf einer Skala (z. B. niedrig / mittel / hoch)
• Standort und Umgebung — wo befindet sich das Asset physisch oder logisch?
• Abhängigkeiten — welche anderen Assets oder Dienste hängen davon ab?

So nutzt du das Register

Erstbefüllung im Workshop. Lade Verantwortliche aus IT, Fachabteilungen und Geschäftsleitung ein. Drei Stunden reichen für die erste Version. Jede Person benennt die Informationswerte in ihrem Verantwortungsbereich, ordnet eine Kategorie zu und schätzt den Schutzbedarf ein. Das Ergebnis ist ein lebendiges Dokument mit 30–80 Einträgen (je nach Organisationsgröße).

Pflege über den Lebenszyklus. Binde das Asset-Register an deinen Change-Management-Prozess. Jede Neuanschaffung, Abschaltung oder Verantwortungsänderung löst eine Aktualisierung aus. Einmal jährlich prüfst du im Management-Review, ob das Inventar vollständig ist — typischerweise fallen dabei verwaiste Einträge auf, deren verantwortliche Person die Organisation längst verlassen hat.

Verknüpfung mit der Risikoanalyse. Jede Zeile im Asset-Register wird in der Risikoanalyse auf Bedrohungen und Schwachstellen geprüft. Je sauberer das Inventar, desto effizienter die Analyse. Lücken im Register bedeuten blinde Flecken in der Risikolandschaft.

Register-Vorlage

Asset-Register

DEEN

.csv · EN.csv · DE

ID	Asset-Name	Typ	Kategorie	Eigentümer	Verwalter	Standort	Klassifizierung	Kritikalität	Umgebung	Beschreibung	Status
AST-001	Kundendatenbank (Prod)	Information	Datenbank	Vertriebsleitung	IT-Betrieb	AWS eu-central-1	Vertraulich	Hoch	Produktion	Primärer Kundendatenspeicher (PostgreSQL 15)	Aktiv
AST-002	Logistikportal (SaaS)	Anwendung	SaaS	Operationsleitung	Anbieter	Anbieter-Cloud	Vertraulich	Hoch	Produktion	Kundenseitiges Logistik-Tracking-Portal	Aktiv
AST-003	M365-Tenant	Dienst	Cloud	ISB	IT-Betrieb	Microsoft Cloud EU	Intern	Hoch	Produktion	E-Mail Zusammenarbeit und Dateispeicherung	Aktiv
AST-004	Fileserver FS-01	Hardware	Server	IT-Betriebsleitung	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Hoch	Produktion	On-Prem SMB-Fileshare	Aktiv
AST-005	Domain Controller DC01 DC02	Hardware	Server	IT-Betriebsleitung	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Kritisch	Produktion	Active Directory Domain Controller	Aktiv
AST-006	Laptops (Flotte)	Hardware	Endgerät	IT-Betriebsleitung	IT-Betrieb	Verteilt	Intern	Mittel	Produktion	145 verwaltete Windows- und macOS-Laptops	Aktiv
AST-007	ERP-System	Anwendung	On-Prem	CFO	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Hoch	Produktion	SAP Business One	Aktiv
AST-008	Backup-System Veeam	Anwendung	On-Prem	IT-Betriebsleitung	IT-Betrieb	HQ Hamburg RZ + Offsite	Vertraulich	Kritisch	Produktion	Zentrales Backup mit Offsite-Replikation	Aktiv
AST-009	SIEM (Splunk)	Anwendung	On-Prem	ISB	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Hoch	Produktion	Log-Aggregation und Erkennung	Aktiv
AST-010	Firewall-Cluster FW-01/02	Hardware	Netzwerk	IT-Betriebsleitung	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Kritisch	Produktion	Perimeter-Firewall HA-Paar (Fortinet)	Aktiv
AST-011	VPN-Gateway	Hardware	Netzwerk	IT-Betriebsleitung	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Hoch	Produktion	Remote-Access-Gateway	Aktiv
AST-012	S3-Bucket nwl-marketing	Information	Cloud-Speicher	Marketingleitung	IT-Betrieb	AWS eu-central-1	Intern	Mittel	Produktion	Marketing-Assets (Public Read deaktiviert)	Aktiv
AST-013	CI/CD-Pipeline (GitLab)	Anwendung	On-Prem	Head of Engineering	IT-Betrieb	HQ Hamburg RZ	Vertraulich	Hoch	Produktion	Quellcodeverwaltung und Build-Pipeline	Aktiv
AST-014	Mobiltelefone (Flotte)	Hardware	Endgerät	IT-Betriebsleitung	IT-Betrieb	Verteilt	Intern	Mittel	Produktion	38 verwaltete iOS-Geräte	Aktiv
AST-015	HR-Datenbank (Personio)	Information	SaaS	HR-Leitung	Anbieter	Personio EU	Vertraulich	Hoch	Produktion	Mitarbeiter-Stammdaten	Aktiv
AST-016	Physisches HQ-Gebäude	Einrichtung	Gebäude	Facility-Leitung	Facility	Hamburg	Intern	Hoch	Produktion	Hauptbüro 1200 qm + Serverraum	Aktiv
AST-017	Lohndaten	Information	Datei	HR-Leitung	HR	Personio + lokales Archiv	Streng vertraulich	Hoch	Produktion	Monatliche Lohnabrechnungen	Aktiv
AST-018	Vertragsarchiv	Information	Datei	Legal	Legal	M365 SharePoint	Vertraulich	Mittel	Produktion	Unterschriebene Verträge	Aktiv

Vollständig anzeigen

Quellen

• ISO/IEC 27001:2022 Annex A, Control A.5.9 — Inventarisierung von Informationswerten
• ISO/IEC 27002:2022 Abschnitt 5.9 — Umsetzungshinweise zur Inventarisierung
• BSI IT-Grundschutz, Strukturanalyse — Erfassung von Zielobjekten als Grundlage der Schutzbedarfsfeststellung